[论文解读] Protecting Military Avionics Platforms from Attacks on MIL-STD-1553 Communication Bus

Orly Stan, Yuval Elovici+4 more|arXiv (Cornell University)|Jul 17, 2017

Network Security and Intrusion Detection参考文献 24被引用 34

一句话总结

本文提出了一种基于机器学习的入侵检测系统（IDS），用于 MIL-STD-1553 航空电子通信总线，采用三级异常检测方法：通过电气信号特征分析实现终端（RT）身份认证，基于序列的时序/顺序分析，以及对数据负载的异常检测。该方法在真实世界数据上仅需 2–5 秒的训练时间，即可实现高精度检测欺骗攻击与拒绝服务（DoS）攻击。

ABSTRACT

MIL-STD-1553 is a military standard that defines the physical and logical layers, and a command/response time division multiplexing of a communication bus used in military and aerospace avionic platforms for more than 40 years. As a legacy platform, MIL-STD-1553 was designed for high level of fault tolerance while less attention was taken with regard to security. Recent studies already addressed the impact of successful cyber attacks on aerospace vehicles that are implementing MIL-STD-1553. In this study we present a security analysis of MIL-STD-1553. In addition, we present a method for anomaly detection in MIL-STD-1553 communication bus and its performance in the presence of several attack scenarios implemented in a testbed, as well as results on real system data. Moreover, we propose a general approach towards an intrusion detection system (IDS) for a MIL-STD-1553 communication bus.

研究动机与目标

• 为应对日益增长的针对传统 MIL-STD-1553 通信总线的网络威胁，这些总线虽在关键军事平台中已使用数十年，但缺乏本征安全机制。
• 识别 MIL-STD-1553 中可被利用的漏洞，以支持欺骗、拒绝服务及数据篡改等网络攻击。
• 设计并评估一种实用的、非侵入式的 IDS 解决方案，无需修改现有的 MIL-STD-1553 基础设施。
• 证明利用机器学习在真实系统数据上实现低误报率的实时异常检测的可行性。
• 在模拟攻击场景和实际飞行平台采集的真实飞行数据上验证检测系统。

提出的方法

• 该 IDS 采用三阶段检测流水线：通过电气信号特征分析实现 RT 身份认证，基于序列的异常检测（利用消息时序与顺序），以及负载级别的数据异常检测。
• RT 身份认证利用独特的电气信号特征（如上升/下降时间、幅度）验证发送组件的身份，将不匹配情况标记为欺骗尝试。
• 序列异常检测通过监督学习建模预期的命令/响应顺序与时序，在出现偏差时发出警报。
• 数据异常检测从消息负载中提取通用特征（如编辑距离、字节分布）和应用特定特征（如 GPS 偏移、速度-航向不一致）。
• 系统基于合法流量记录进行训练，模型实时更新以适应正常行为的变化。
• 检测流水线通过自定义测试平台进行评估，该平台模拟了欺骗与 DoS 攻击，并在真实世界的 MIL-STD-1553 数据日志上进行验证。

实验结果

研究问题

• RQ1 能否通过分析发送组件的电气信号特征，利用基于机器学习的 IDS 检测 MIL-STD-1553 总线上的欺骗攻击？
• RQ2 基于序列的异常检测在识别时序与顺序偏差方面效果如何，这些偏差可能表明存在拒绝服务或控制劫持？
• RQ3 基于数据层面的异常检测能否识别绕过时序与身份验证检查的恶意负载修改？
• RQ4 系统能否仅使用来自实际运行系统的极少训练数据，在短时间内实现低误报率？
• RQ5 所提出的 IDS 是否能在合成测试平台环境和真实飞行数据中检测到已知攻击模式？

主要发现

• 在测试平台环境中，所提出的 IDS 对欺骗与拒绝服务攻击均实现了高检测准确率，所有场景下均无漏检。
• 系统仅需 2 至 5 秒的合法流量即可完成训练，并在真实系统数据上实现极低的误报率。
• 电气信号特征分析实现了可靠的 RT 身份认证，即使攻击消息模仿了正确的时序与命令结构，也能成功识别出欺骗消息。
• 基于序列的异常检测有效识别出乱序或非及时的消息，表明可能存在控制劫持或干扰攻击。
• 数据异常检测模块，特别是利用如位置与速度一致性等应用特定特征的模块，成功标记出恶意数据注入。
• 多层检测方法展现出强健性与适应性，在实际运行的航空电子平台真实数据日志上表现优异。